教科書に載らないWebアプリケーションセキュリティ 第1回 ［これはひどい］IEの引用符の解釈 − ＠IT
XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます（編集部） 小さな話題が面白い 皆さん、はじめまして。はせがわようすけと申します。 「教科書に載らないWebアプリケーションセキュリティ」ということで、Webアプリケーションのセキュリティに関連する、普段あまり見掛けないような小さな話題を取り上げていきたいと思います。 セキュアなWebアプリケーションを実現するために、開発者の方だけでなく、Webアプリケーションの脆弱性検査を行う方々にも読んでいただきたいと思っています。重箱の隅を楊枝でほじくるような小さな話題ばかりですが、皆さんよろしくお願いします。 さて第1回は、Internet ExplorerがHTMLを解釈する際の引用
セキュリティホール memo - JASRACシンポジウム2008 方面
近年、MD5 ハッシュアルゴリズムの衝突耐性が、それまで考えられていたほどには高くないことが知られるようになったが、これを利用した現実的な攻撃事例が 25th Chaos Communication Congress (25C3) で発表された。 デモされたのはこんな内容みたい。 既存の証明書と同じ MD5 ハッシュ値を持つ、全く別の証明書を用意する。 PlayStation 3 x 200 台のクラスタ環境で 1 〜 2 日で作成できる。 Amazon EC2 なら $20,000 出せば手に入る CPU パワー。 最適化すれば $2,000 Amazon EC2 x 1 日でできるだろう、とも。 これを使ってニセの中間 CA を作成する。多くのブラウザが信頼しているような CA のニセモノだと利用価値が高い。 ニセ CA を DNS 詐称攻撃 (DNS キャッシュ汚染など) と組みあわ
HTTPS URL を使用して Office ドキュメントまたは PDF ファイルを開くときの "Internet Explorer をダウンロードできません" というエラー メッセージ - Microsoft サポート
警告: 廃止されたサポート対象外の Internet Explorer 11 デスクトップ アプリケーションは、特定のバージョンのWindows 10の Microsoft Edge 更新プログラムを通じて完全に無効になっています。 詳細については、「 Internet Explorer 11 デスクトップ アプリの廃止に関する FAQ」を参照してください。 現象 Internet Explorer 6 Service Pack 1 (SP1) のアドレス バーにドキュメントの HTTPS Uniform Resource Locator (URL) を入力して Microsoft Office ドキュメントまたは PDF ファイルを開こうとすると、ドキュメントが開かない場合があり、Internet Explorer で次のエラー メッセージが表示されることがあります。
「Firefox」と「IE」にパスワード漏えいにつながる脆弱性--マイスペースも攻撃に
Mozillaの「Firefox 2」およびMicrosoftの「Internet Explorer（IE） 7」に、攻撃者がパスワードを盗むのに悪用できる脆弱性が存在していることがわかった。 発見者のRobert Chapin氏は、これを「Reverse Cross-Site Request（RCSR）」の脆弱性と呼んでいる。これはハッカーが偽のログインフォームを使って、ユーザーのパスワードおよびユーザーネームを盗むことを可能にする脆弱性だという。Firefoxの「Password Manager」が、保存したパスワードおよびユーザーネームをこのフォームに自動入力してしまうことが、問題になっている。 入力されたデータは、ユーザーの知らないうちに攻撃者のコンピュータに送信されると、Chapin Information Services（CIS）のウェブサイトは説明している。 Chapin氏
MS、「IE 6」の脆弱性を調査--ブラウザクラッシュの可能性
Microsoftが「Internet Explorer 6」に存在する脆弱性の調査を進めていることが、同社の「Security Response Center」ブログへの書き込みから明らかになった。Internet Explorerバージョン6.xのActiveXコントロール「ADODB.Connection」に脆弱性が存在する可能性があり、この脆弱性はメモリ破壊を引き起こし、ブラウザをクラッシュさせる恐れがあるという。 Microsoftではこの新しい脅威のリスクは少ないと判断しているが、悪意のあるハッカーが、これを「自動ダウンロード」と呼ばれる行為に悪用する可能性がある。この脆弱性には、「CVE-2006-5559」というNVD（National Vulnerability Database）番号が割り当てられている。ActiveXを無効にする方法については、こちらの「US-CERT
セキュリティ専門家グループ、IE用の非公式パッチを公開
最近発見され、すでに悪用例も増え始めているInternet Explorerの脆弱性に対し、あるセキュリティ専門家のグループが、パッチを作成した。 パッチを作成したのは、Zeroday Emergency Response Team（ZERT）と名乗るグループ。このグループは、Microsoftが正式なパッチを作成するまでの間、ユーザーがマシンを保護できるようにこのパッチを作成した。 ZERTの広報担当Randy Abrams氏は米国時間9月22日、「グループのなかには、この脆弱性が引き起こすリスクがあまりに大きいため、パッチを待ってはいられないと考えるメンバーがいる。この意見に賛成してパッチを適用するユーザーもいるだろう」と述べた。Abrams氏はセキュリティ企業ESETの技術教育部門でディレクターを務める人物で、ZERTのボランティアでもある。 脆弱性は、IE 6のグラフィックス処理を
「Internet Explorer」にパッチ未公開の脆弱性--すでに悪用始まる
「Internet Explorer」に存在する、パッチ未公開のセキュリティ問題を悪用し、ユーザーに悪質なソフトウェアをインストールさせようと試みるサイトが出現したと、専門家らが米国時間9月19日に警告を発した。 この脆弱性は、IE 6のグラフィックス処理を行う部分に存在する。複数のセキュリティ企業によれば、攻撃者は、ウェブサイトや電子メールに書かれた悪質なリンクをユーザーにクリックさせることで、彼らの気付かないうちに悪質なソフトウェアをWindows PCにインストールするという。 VeriSignのiDefense事業部で緊急対策チーム担当ディレクターを務めるKen Dunham氏は、電子メールによる声明のなかで、「これまでのパッチをすべて適用したInternet Explorerブラウザでさえも、この問題に対しては脆弱だ。この新しいゼロデイ攻撃は簡単に真似ることができる。したがって近
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
